防火墙与三层交换机的功能与作用
三层交换机实现路由功能
三层交换机实现路由功能三层交换机是一种集成了路由和交换功能的设备，它可以实现在局域网内进行路由转发和数据交换。
与二层交换机相比，三层交换机具有更高的功能和灵活性，可以根据IP地址进行路由转发，支持虚拟局域网（VLAN）和QoS（Quality of Service）等功能。
1.静态路由：静态路由是通过手动配置路由表来实现的，管理员需要手动指定每个网络的下一跳路由器。
静态路由的设置简单，适用于网络规模较小且变动较少的场景。
2. 动态路由：动态路由是根据网络拓扑和链路状态自动更新路由表的一种方式。
三层交换机可以支持常见的动态路由协议，如OSPF（Open Shortest Path First）和RIP（Routing Information Protocol）。
动态路由可以实现网络的自动调整和优化，适用于大规模网络或网络拓扑变动频繁的场景。
3.路由策略：三层交换机可以根据不同的策略进行路由转发，如基于源IP地址或目的IP地址进行转发，也可以基于服务质量（QoS）的需求进行转发。
路由策略可以根据实际需求进行配置，提供更加灵活和个性化的路由转发方式。
4.虚拟局域网（VLAN）：三层交换机支持虚拟局域网的划分和隔离。
通过将不同的端口划分到不同的VLAN中，可以实现不同VLAN之间的隔离和通信。
三层交换机可以通过VLAN间的路由功能实现不同VLAN之间的数据转发。
5.安全性：三层交换机可以实现网络的安全防护和访问控制。
通过配置访问控制列表（ACL），可以限制网络的访问权限，防止未经授权的访问。
三层交换机还可以支持虚拟专用网（VPN）和防火墙等安全功能。
需要注意的是，三层交换机的路由功能相对于专用的路由器来说，性能可能有一定的限制。
在需要处理大规模的路由转发或者复杂的路由策略时，可能需要采用专用的路由器设备。
综上所述，三层交换机通过集成的路由表和路由功能实现了在局域网内的路由转发和数据交换。
它支持静态路由和动态路由，提供了路由策略和虚拟局域网（VLAN）等功能，同时还能提供一定的安全性。
三层交换机防火墙ACL设置
1.4 实验要求
在交换机A和交换机B上分别划分两个基于 端口的VLAN: VLAN100,VLAN200.
交换机A端口1设置成Trnuk口：
VLAN 100 200 Trunk IP 192.168.100.1 192.1689.200.1 Mask 255.255.255.0 255.255.255.0 1
1.2实验目的
1. 了解什么是标准的ACI； 2．了解标准ACL不同的实现方法。
1.3实验环境
ACL(Access Control List)是交换机实现的一 种数据包过滤机制，通过允许或拒绝特定的数据包进 出网络，交换机可以对网络访问进行控制，有效保障 网络的安全运行。用户可以基于报文中的特定信息制 定一组规则（rule）,每条规则都描述了对匹配了一定 信息的数据包所采取的动作：允许通过（permit）或 拒绝通过（deny）。用户可以把这些规则应用到特定 交换机的入口或出口方向，这样特定端口上特定方向 的数据流就必须依照指定的ACL规则进出交换机。通 过ACL，可以限制某个IP地址的PC或者某些网段的的 pc的上网活动。用于网络管理。
2. 研究方法
2.1 实验设备 2.2 实验拓扑 2.3 实验步骤
2.1实验设备
1．DCRS-7604或6804或5526S）交换机1台 2．DCRS-3926 S交换机1台 3．PC机2台 4．Console线1-2根 5．直通网线若干
2.2 实验拓扑
第一步：交换机全部恢复出厂设置，在交换机中 创建vlan100和vlan200，并添加端口
2.3 实验步骤
第二步：设置交换机Truck口 交换机B：
交换机A：
第三步：交换机A添加vlan地址。
第三步：交换机A添加vlan地址。 第四步：不配制ACL验证实验
交换机·路由器·防火墙（第2版）
第1章交换机·路由器·防火墙综述交换机、路由器和防火墙是几乎所有局域网络都要使用的基本设备。
其中，交换机将其他网络设备（如交换机、路由器、网络防火墙、无线接入点）和所有终端设备（如计算机、服务器、网络摄像头、网络打印机）连接在一起，实现彼此之间的通信；路由器用于实现局域网之间，以及局域网与Internet的互连，将所有的网络连接在一起；防火墙则用于在内部网络之间，以及内部网络和Internet之间创建一个安全屏障，将恶意攻击阻拦在内部网络之外。
可见，对于任何局域网络而言，交换机、路由器和防火墙一个都不能少。
1.1 交换机概述如果把网络布线系统比喻为一条条宽阔的道路，那么，网络交换机（Switch）就像是一座座立交桥，将通往各个方向的道路汇连在一起，实现彼此之间的互连互通。
无需红绿灯，无需等待，四通八达，任意驰骋……1.1.1 交换机的功能交换机是构建局域网络不可或缺的集线设备。
作为局域网通信的重要枢纽和节点，其主要功能就是连接设备。
所谓局域网络（Network），简单地说，其实就是若干计算机的集合，而这些计算机就是借助交换机相互连接在一起的。
交换机往往拥有数量众多的端口（通常为8～52个端口）。
图1-1所示为Cisco Catalyst 2960系列交换机。
图1-1 Cisco Catalyst 2960系列交换机交换机·路由器·防火墙（第2版）交换机最主要的功能就是连接计算机、服务器、网络打印机、网络摄像头、IP 电话等终端设备，并实现与其他交换机、无线接入点、网络防火墙、路由器等网络设备的互连，从而构建局域网络，实现所有设备之间的通信。
图1-2所示为交换机与终端设备和网络设备的连接。
图1-2 交换机的功能作为局域网络的核心与枢纽，交换机的性能决定着网络性能，交换机的带宽决定着网络带宽。
因此，局域网络的升级往往就是交换机的升级。
当然，前提条件是网络布线必须能够满足网络传输的需要。
防火墙功能介简
防火墙功能简介黑盾防火墙可以总结为七个模块●网络管理1.当前连接可以查询防火墙的当前连接信息，如源地址、源端口、目的地址、目址端口、状态、包的个数、流量、速度、开始创建时间等。
2.ARP缓存可以列出系统的ARP缓存的详细信息（总数目，每个表项对应的接口、原IP、MAC地址、状态），其主作用从七层网络协议上来讲可以提高网络的性能（针对第二层的链路层从IP地址到网卡的MAC地址需要ARP协议的解析，如果有现有的ARP列表就可以更快的解析到）3.网络调试工具：PING网络测试：测试远程或本地计算机的连接。
TRACEROUTE ：测试当前数据包从你的计算机经过多少个网关传到目的地SINIFFER：捕包测试●访问控制黑盾防火墙访问控制从OSI七层模型（七层协议）不同层来实现的：数据链路层、网络层、应用层进行控制。
1.数据链路层的帧过滤规则就是对第二层（链路层）数据进行过滤。
对指定的MAC地址进行帧过滤，通用帧过滤的协议包括（也就是以太网帧类型、IPV4、IPX、NetBEUI、ARP等），可以对基于MAC的访问控制，网络地址可以仅只指明MAC地址。
2.网络层的过滤规则1、IP过滤规则提供对IP协议的数据包进行过滤的功能。
用户可以设定源IP、目地IP、服务类型（端口）、有效时间等选项对IP数据包进行过滤。
2、IP-MAC绑定对一些特殊的电脑及服务器进行IP-MAC绑定，可以防止IP被盗用，导致服务器或电脑不能够正常运行和服务。
3.应用层的高级过滤1、FTP高级过滤规则能够提供对FTP操作的命令进行的控制。
包括：上传、下载、删除文件和删除、重命名、新建目录等操作命令进行访问控制。
2、WEB高级过滤规则能够对URL的过滤。
针对一些网站按照有效时间进行过滤、源地址（也就是可以指定特殊的网段，特殊的对像进行过滤。
）3、内容过滤是防火墙提供的对应用层过滤的功能之一，它能对经过防火墙的IP数据包中的字符进行过滤。
包括：比较敏的字段进行过虑。
防火墙的基础知识科普
防火墙主要由四个部分组成：服务访问规则、验证工具、包过滤和应用网关。
所有计算机的一切输入输出的网络通信和数据包都要经过防火墙。
下面就让带你去看看防火墙的基础知识科普，希望能帮助到大家!网络基础知识：TCP协议之探测防火墙为了安全，主机通常会安装防火墙。
防火墙设置的规则可以限制其他主机连接。
例如，在防火墙规则中可以设置IP地址，允许或阻止该IP地址主机对本机的连接;还可以设置监听端口，允许或阻止其他主机连接到本地监听的端口。
为了清楚地了解目标主机上是否安装防火墙，以及设置了哪些限制，netwo__工具提供了编号为76的模块来实现。
它通过发送大量的TCP[SYN]包，对目标主机进行防火墙探测，并指定端口通过得到的响应包进行判断。
如果目标主机的防火墙处于关闭状态，并且指定的端口没有被监听，将返回[RST，ACK]包。
如果目标主机上启用了防火墙，在规则中设置了端口，阻止其他主机连接该端口，那么在探测时将不会返回响应信息。
如果设置为允许其他主机连接该端口，将返回[SYN，ACK]包。
如果在规则中设置了IP地址，并允许该IP地址的主机进行连接，探测时返回[SYN，ACK]包;当阻止该IP地址的主机进行连接，探测时将不会返回数据包。
由于它可以发送大量的TCP[SYN]包，用户还可以利用该模块实施洪水攻击，耗尽目标主机资源。
在主机192.168.59.131上对目标主机192.168.59.133进行防火墙探测。
1)向目标主机端口2355发送TCP[SYN]包，探测是否有防火墙。
执行命令如下：root@da__ueba:~# netwo__ 76 -i 192.168.59.133 -p 2355执行命令后没有任何输出信息，但是会不断地向目标主机发送TCP[SYN]包。
2)为了验证发送探测包情况，可以通过Wireshark抓包进行查看，如图1所示。
其中，一部分数据包目标IP地址都为192.168.59.133，源IP地址为随机的IP地址，源端口为随机端口，目标端口为2355。
常见网络互连设备简介
常见网络互连设备简介在校园网建设的设备选购过程中，众多的网络设备常常让我们眼花缭乱、不知所措。
应用决定功能，需要什么样的功能取决于正确的应用分析。
有了应用目标，再根据不同设备的功能决定选用什么样的设备，这样才不至于出现杀鸡用牛刀之类不必要的浪费。
下面对常用网络设备功能和应用做简单介绍，但愿对大家有所帮助。
一、路由器（Router）路由器是用来连接局域网与广域网的，是校园网的核心设备，也是较贵的设备。
路由器工作在网络层，具有地址翻译、协议转换和数据格式转换等功能，通过分组转发来实现网络互连，有很强的异种网连接能力，并有路径选择和子网划分功能。
市场上的路由器，其具体功能和档次千差万别。
在校园网的网络中心，要求快速的包交换能力与高速的网络接口，可使用高端的核心路由器；而网络边缘的接入，要求相对低速的端口及较强的控制能力，通常使用中低端的接入路由器。
对于规模较小且采用ADSL与Internet相连接的校园网来说，不必购置专门的路由器，可以使用“宽带路由器”（或带路由功能的ADSL Modem）配合交换机来实现Internet接入及内部互连。
二、中继器（Repeater）又称转发器，用于连接局域网的多个网段，实现网络在物理层的连接，有中继放大信号并按原方向传输的作用。
中继器是扩展网络最廉价的选择，并可连接不同传输介质的网络，但是只能用于相同协议的同构型网络的连接，且没有隔离和过滤功能。
受5-4-3规则的限制，以太网中最多可使用四个中继器。
使用中继器连接以后的两个网段仍为一个网络，如果希望连接后是两个网络，则应选择网桥。
集线器（Hub）实际上是多口的中继器，又称集中器，用于连接多台电脑或其他网络设备，是校园网中最常见的网内连接设备。
集线器的速度通常为10M，并且其带宽是各个端口共享的，同一时刻只能为一个客户服务。
集线器会产生广播风暴，在级联时还受到5-4-3规则的约束。
基于集线器的共享式网络在校园网中已较少使用。
基于三层交换机做防火墙的校园网配置
基于三层交换机做防火墙的校园网配置江玉俭（大连广播电视大学旅顺分校辽宁大连１１６０４１）摘要：关键词：中图分类号：ＴＰ３文献标识码：Ａ文章编号：１６７１－７５９７（２０１２）０５１０１４７－０１三层交换机技术是近年来新兴的路由技术，将在今后主宰局域网已成为不争的事实。
阐述我校校园网拓扑结构中，使用三层交换机充当防火墙仅用来保护隔离区（ＤＭＺ）中的服务器群，以免受到来自Ｉｎｔｅｒｎｅｔ和校园内网的攻击。
三层交换机；防火墙；控制列表随着我国企业网、校园网以及宽带建设的迅速发展，网络安全问题日益突显。
防火墙通过它对数据包进行过滤，保护着网络的安全。
大型网络必须使用防火墙，但千兆专业防火墙价格昂贵，基于建设成本考虑，我校校园网采用交换机来充当防火墙，通过配置三层交换机的访问控制列表来达到防火墙的功能。
局域网发展到了千兆以太网，而网络结构却仍使用共享局域网，网络速度受到很大的制约，近年来采用的交换局域网则是以链路层帧为数据交换单位，允许多个结点同时进行通信，每个结点可以独占传输通道和带宽，很好地解决了第一层和第二层的速度问题。
从而解决了共享型以太网的制约速度问题。
但以往的路由器技术并没有随着信息传输量的增大而提高，再也不能满足对高速度的需求，由此便产生了三层交换技术的概念。
什么是三层交换技术呢？要理解这个技术必须从认识ＯＳＩ（开放系统互联模型）开始。
ＯＳＩ即开放系统互联模型，把网络系统从低到高分成七层：物理层、数据链路层、网络层、传输层、会话层、表示层、应用层。
这里我们只需要介绍底三层。
物理层：物理层规范是有关传输介质的特性标准，是进行数据传输的基础，由硬件构成。
调制解调器和集线器都属于物理层的网络设备。
数据链路层：数据链路层定义了在单个链路上如何传输数据，提供的数据连路控制和差错校验功能，将不可靠的物理链路变成可靠的数据链路。
以往的交换机是数据链路层的网络设，它只能连接同一个子网的微机，如果ＩＰ地址不在同一个子网中则只依靠交换机不能实现通信，还需要第三层中的路由器。
三层交换机配置教程
三层交换机配置教程三层交换机是一种具有路由功能的交换机，可以实现不同网段之间的互联。
下面是三层交换机配置教程：1. 连接三层交换机：首先，将三层交换机与其他设备（如路由器或防火墙）进行连接，可以使用网线将它们连接起来。
确保连接的端口是正确的并且连接松紧适中。
2. 访问三层交换机：使用终端或电脑连接到三层交换机的管理端口。
通常，可以通过SSH或Telnet协议访问交换机的管理接口。
3. 进入交换机的命令行界面：成功连接到三层交换机后，输入正确的用户名和密码，进入交换机的命令行界面。
用户名和密码通常是事先设置好的。
4. 设置主机名：在交换机命令行界面中，使用命令"hostname [名称]"来设置交换机的主机名。
主机名可以是任何你喜欢的名称，但通常建议使用简洁的描述性名称。
5. 配置IP地址：使用命令"interface [接口号]"进入交换机的接口配置模式。
然后，使用"ip address [IP地址] [子网掩码]"命令为每个接口设置IP地址和子网掩码。
确保IP地址和子网掩码与网络规划一致。
6. 启用接口：为了使接口生效，使用"no shutdown"命令启用每个接口。
这将使接口进入工作状态。
7. 配置路由：三层交换机可以实现不同网段之间的路由功能。
为了配置路由，使用"ip route [目标网络] [目标子网掩码] [下一跳地址]"命令。
这将指定该网络的下一跳地址。
可以添加多个路由以实现完整的路由表。
8. 保存配置：确认完成配置后，使用命令"copy running-config startup-config"保存配置。
这将保存当前正在运行的配置为交换机的启动配置，以便在重新启动后仍然有效。
以上就是三层交换机配置的基本步骤。
根据实际需求，还可以进行更复杂的配置，如VLAN划分、安全设置、负载均衡等。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
防火墙定义所谓防火墙指的是一个由软件和硬件设备组合而成、在部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Interne t与Intranet之间建立起一个安全网关（Security Gateway），从而保护部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。
该计算机流入流出的所有网络通信均要经过此防火墙。
在网络中，所谓“防火墙”，是指一种将部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。
防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。
换句话说，如果不通过防火墙，公司部的人就无法访问Internet，Internet上的人也无法和公司部的人进行通信。
编辑本段作用防火墙具有很好的保护作用。
入侵者必须首先穿越防火墙的安全防线，才能接触目标计算机。
你可以将防火墙配置成许多不同保护级别。
高级别的保护可能会禁止一些服务，如视频流等，但至少这是你自己的保护选择。
古代防火墙作用：古人在建筑物的两侧山墙和后檐墙上，不开门窗，不采用可燃材料，谓之风火檐，也称封火檐。
这是防火墙的一种形式。
故宫也有这种防火墙。
据清朝《钦定四库全书》中的《国朝宫史》（卷三）记载，雍正五年十一月二十三日（1728年1月4日）雍正皇帝在“上谕”中指出：“宫中火烛最要小心。
如日精门、月华门向前一带，围房后俱有做饭值房。
虽尔等素知小心，凡事不可不为之预防。
可将围房后檐改为风火檐。
即十二宫上大房有相近做饭小房之处，着其意改风火檐者亦行更改。
”雍正皇帝为了接受皇宫过去发生火灾的教训，命令工部大臣将三大殿东西配殿以及东六宫、西六宫的两侧山墙和后檐墙统统改为风火檐，全然不用木质材料。
这十三处防火墙的总长度约4000米，对于防止故宫火势蔓延发挥了应有的作用。
编辑本段类型网络层防火墙网络层防火墙可视为一种 IP 封包过滤器，运作在底层的 TCP/IP 协议堆栈上。
我们可以以枚举的方式，只允许符合特定规则的封包通过，其余的一概禁止穿越防火墙。
这些规则通常可以经由管理员定义或修改，不过某些防火墙设备可能只能套用置的规则。
我们也能以另一种较宽松的角度来制定防火墙规则，只要封包不符合任何一项“否定规则”就予以放行。
现在的操作系统及网络设备大多已置防火墙功能。
较新的防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 地址、来源端口号、目的 IP 地址或端口号、服务类型(如 WWW 或是 FTP)。
也能经由通信协议、TTL 值、来源的网域名称或网段...等属性来进行过滤。
应用层防火墙应用层防火墙是在 TCP/IP 堆栈的“应用层”上运作，您使用浏览器时所产生的数据流或是使用 FTP 时的数据流都是属于这一层。
应用层防火墙可以拦截进出某应用程序的所有封包，并且封锁其他的封包(通常是直接将封包丢弃)。
理论上，这一类的防火墙可以完全阻绝外部的数据流进到受保护的机器里。
防火墙借由监测所有的封包并找出不符规则的容，可以防电脑蠕虫或是木马程序的快速蔓延。
不过就实现而言，这个方法既烦且杂(软件有千千百百种啊)，所以大部分的防火墙都不会考虑以这种方法设计。
XML 防火墙是一种新型态的应用层防火墙。
（一）部网络和外部网络之间的所有网络数据流都必须经过防火墙这是防火墙所处网络位置特性，同时也是一个前提。
因为只有当防火墙是、外部网络之间通信的唯一通道，才可以全面、有效地保护企业网部网络不受侵害。
根据美国国家安全局制定的《信息保障技术框架》，防火墙适用于用户网络系统的边界，属于用户网络边界的安全保护设备。
所谓网络边界即是采用不同安全策略的两个网络连接处，比如用户网络和互联网之间连接、和其它业务往来单位的网络连接、用户部网络不同部门之间的连接等。
防火墙的目的就是在网络连接之间建立一个安全控制点，通过允许、拒绝或重新定向经过防火墙的数据流，实现对进、出部网络的服务和访问的审计和控制。
典型的防火墙体系网络结构如下图所示。
从图中可以看出，防火墙的一端连接企事业单位部的局域网，而另一端则连接着互联网。
所有的、外部网络之间的通信都要经过防火墙。
（二）只有符合安全策略的数据流才能通过防火墙防火墙最基本的功能是确保网络流量的合法性，并在此前提下将网络的流量快速的从一条链路转发到另外的链路上去。
从最早的防火墙模型开始谈起，原始的防火墙是一台“双穴主机”，即具备两个网络接口，同时拥有两个网络层地址。
防火墙将网络上的流量通过相应的网络接口接收上来，按照OSI协议栈的七层结构顺序上传，在适当的协议层进行访问规则和安全审查，然后将符合通过条件的报文从相应的网络接口送出，而对于那些不符合通过条件的报文则予以阻断。
因此，从这个角度上来说，防火墙是一个类似于桥接或路由器的、多端口的（网络接口>=2）转发设备，它跨接于多个分离的物理网段之间，并在报文转发过程之中完成对报文的审查工作。
如下图：（三）防火墙自身应具有非常强的抗攻击免疫力这是防火墙之所以能担当企业部网络安全防护重任的先决条件。
防火墙处于网络边缘，它就像一个边界卫士一样，每时每刻都要面对黑客的入侵，这样就要求防火墙自身要具有非常强的抗击入侵本领。
它之所以具有这么强的本领防火墙操作系统本身是关键，只有自身具有完整信任关系的操作系统才可以谈论系统的安全性。
其次就是防火墙自身具有非常低的服务功能，除了专门的防火墙嵌入系统外，再没有其它应用程序在防火墙上运行。
当然这些安全性也只能说是相对的。
目前国的防火墙几乎被国外的品牌占据了一半的市场，国外品牌的优势主要是在技术和知名度上比国产品高。
而国防火墙厂商对国用户了解更加透彻，价格上也更具有优势。
防火墙产品中，国外主流厂商为思科（Cisco）、CheckPoint、NetScreen等，国主流厂商为东软、天融信、山石网科、网御神州、联想、方正等，它们都提供不同级别的防火墙产品。
代理服务设备(可能是一台专属的硬件，或只是普通机器上的一套软件)也能像应用程序一样回应输入封包(例如连接要求)，同时封锁其他的封包，达到类似于防火墙的效果。
代理由外在网络使窜改一个部系统更加困难, 并且一个部系统误用不一定会导致一个安全漏洞可开采从防火墙外面(只要应用代理剩下的原封和适当地被配置) 。
相反地, 入侵者也许劫持一个公开可及的系统和使用它作为代理人为他们自己的目的; 代理人然后伪装作为那个系统对其它部机器。
当对部地址空间的用途加强安全, 破坏狂也许仍然使用方法譬如IP 欺骗试图通过小包对目标网络。
防火墙经常有网络地址转换(NAT) 的功能, 并且主机被保护在防火墙之后共同地使用所谓的“私人地址空间”, 依照被定义在[RFC 1918] 。
管理员经常设置了这样情节在努力(无定论的有效率) 假装部地址或网络。
防火墙的适当的配置要求技巧和智能。
它要求管理员对网络协议和电脑安全有深入的了解。
因小差错可使防火墙不能作为安全工具。
编辑本段优点（1）防火墙能强化安全策略。
（2）防火墙能有效地记录Internet上的活动。
（3）防火墙限制暴露用户点。
防火墙能够用来隔开网络中一个网段与另一个网段。
这样，能够防止影响一个网段的问题通过整个网络传播。
（4）防火墙是一个安全策略的检查站。
所有进出的信息都必须通过防火墙，防火墙便成为安全问题的检查点，使可疑的访问被拒绝于门外。
编辑本段功能防火墙最基本的功能就是控制在计算机网络中，不同信任程度区域间传送的数据流。
例如互联网是不可信任的区域，而部网络是高度信任的区域。
以避免安全策略中禁止的一些通信，与建筑中的防火墙功能相似。
它有控制信息基本的任务在不同信任的区域。
典型信任的区域包括互联网(一个没有信任的区域) 和一个部网络(一个高信任的区域) 。
最终目标是提供受控连通性在不同水平的信任区域通过安全政策的运行和连通性模型之间根据最少特权原则。
例如：TCP/IPPort 135~139是 Microsoft Windows的【网上邻居】所使用的。
如果计算机有使用【网上邻居】的【共享文件夹】，又没使用任何防火墙相关的防护措施的话，就等于把自己的【共享文件夹】公开到Internet，供不特定的任何人有机会浏览目录的文件。
且早期版本的Windows有【网上邻居】系统溢出的无密码保护的漏洞（这里是指【共享文件夹】有设密码，但可经由此系统漏洞，达到无须密码便能浏览文件夹的需求）。
防火墙对流经它的网络通信进行扫描，这样能够过滤掉一些攻击，以免其在目标计算机上被执行。
防火墙还可以关闭不使用的端口。
而且它还能禁止特定端口的流出通信，封锁特洛伊木马。
最后，它可以禁止来自特殊站点的访问，从而防止来自不明入侵者的所有通信。
网络安全的屏障一个防火墙（作为阻塞点、控制点）能极提高一个部网络的安全性，并通过过滤不安全的服务而降低风险。
由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。
如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击部网络。
防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。
防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。
强化网络安全策略通过以防火墙为中心的安全方案配置，能将所有安全软件（如口令、加密、身份认证、审计等）配置在防火墙上。
与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。
例如在网络访问时，一次一密口令系统和其它的身份认证系统完可以不必分散在各个主机上，而集中在防火墙一身上。
对网络存取和访问进行监控审计如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。
当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。
另外，收集一个网络的使用和误用情况也是非常重要的。
首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。
而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。
防止部信息的外泄通过利用防火墙对部网络的划分，可实现部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。
再者，隐私是部网络非常关心的问题，一个部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了部网络的某些安全漏洞。
使用防火墙就可以隐蔽那些透漏部细节如Finger，DNS等服务。